Tunnelblick: Verbindung bei Anmeldung oder beim Start - wählen Sie eines

Die Einstellung heißt automatisch verbinden, und was danach geschieht, hängt vollständig davon ab, welcher der beiden Modi gewählt wurde. Der eine startet den Tunnel, wenn Sie sich am Mac anmelden; der andere startet ihn beim Systemstart, ganz ohne Benutzersitzung. Der zweite braucht Anmeldedaten, die existieren, bevor jemand ein Passwort eingeben kann, weshalb er oft mit einer Verbindung endet, die nie zustande kommt. Keiner der Modi ist eine Richtlinie, die Datenverkehr stoppt, bevor der Tunnel existiert.

Entscheiden Sie vor der Wahl der Option, welchem Ereignis die Verbindung folgen soll, denn die Anforderungen ergeben sich vollständig aus dieser Antwort.

Zwei Optionen, zwei verschiedene Sitzungen

Die Einstellung für automatisches Verbinden in Tunnelblick bietet einen Anmeldemodus und einen Systemstartmodus, und das sind keine austauschbaren Bezeichnungen. Der erste läuft innerhalb einer Benutzersitzung, mit dem Schlüsselbund dieses Benutzers und der Möglichkeit nachzufragen. Der zweite läuft ohne die Oberfläche und ohne diese Sitzung, sodass ein Dialog niemanden hat, dem er erscheinen könnte. Alles Weitere, das sich unterscheidet, einschließlich der Frage, welche Konfigurationen zulässig sind, folgt aus dieser Trennung.

Ein funktionierendes privates Profil auf dem Schreibtisch ist daher nicht automatisch ein Kandidat für den Systemstart.

Was Ihnen der Start bei der Anmeldung bringt

Der Start mit der Sitzung bewahrt den normalen interaktiven Kontext. Die App kann anfordern, was das Profil braucht, sei es ein Kontopasswort, eine Schlüsselpassphrase oder eine MFA-Abfrage, und der Benutzer ist anwesend, um zu antworten. Tunnelblick dokumentiert außerdem das erneute Starten bei der Anmeldung, wenn es bei der Abmeldung lief, was ein verwandtes, aber separates Verhalten ist, das für die installierte Version überprüft werden sollte. Die App zu öffnen und einen nutzbaren Tunnel aufzubauen sind zwei Ereignisse, und nur das zweite ist für die Ressource wichtig, die Sie erreichen wollen.

Testen Sie es, indem Sie sich ab- und wieder anmelden, und prüfen Sie dann die private Ressource statt das Symbol. Ein Symbol in der Menüleiste beweist, dass die App gestartet ist; eine erfolgreiche Anfrage beweist, dass der Tunnel funktioniert.

Was der Systemstart tatsächlich erfordert

Der Systemstart führt OpenVPN ohne die Tunnelblick-Oberfläche und ohne angemeldeten Benutzer aus, daher ist kein Benutzerschlüsselbund verfügbar und keine Abfrage kann erscheinen. Die Option erfordert eine gemeinsam genutzte Konfiguration, die für diesen Modus zulässig ist, und die Authentifizierung muss unbeaufsichtigt funktionieren: ein Schlüssel ohne Passphrase oder eine andere unterstützte Regelung, die der VPN-Eigentümer genehmigt hat. Den Schutz von einem Schlüssel zu entfernen oder einen MFA-Code in einer Datei zu speichern, damit ein ausgegrautes Steuerelement auswählbar wird, ist keine Konfiguration, sondern eine Herabstufung.

Eine Systemstartverbindung kann auch die App und die Benutzersitzung überleben. Planen Sie, wie ein Administrator sie beobachtet und beendet, statt anzunehmen, dass das Beenden von Tunnelblick den Tunnel beendet.

Keiner von beiden blockiert Datenverkehr

Ein früherer Start ist keine Richtlinie zur Netzwerksperre. Das zugrunde liegende Netzwerk muss existieren, bevor OpenVPN sich verbinden kann, und in der Zwischenzeit können andere Anwendungen es frei nutzen. Wenn die Anforderung lautet, dass nichts hinausgeht, bevor der Tunnel steht, ist das ein eigenes Durchsetzungsdesign mit eigener Überprüfung, kein Kontrollkästchen im VPN-Client. Die On-Demand-Regeln von macOS und eine Firewall lösen unterschiedliche Teile dieses Problems.

Schreiben Sie die Anforderung als Satz, bevor Sie die Einstellung anfassen: Dieser Mac muss den Tunnel ab der Anmeldung, ab dem Start oder nur während einer bestimmten Anwendung haben. Prüfen Sie dann, welche Modi die installierte Version tatsächlich unterstützt.

Das Symptom, das alles ausgelöst hat, ist meist ein Tunnel, der nie zustande kam. Die Antwort ist fast immer das Sitzungsmodell, nicht das Profil.